Pam na all rheol VPN atal un ffeil rhag cael ei huwchlwytho
Mae cyrraedd gwasanaeth a rheoli pa ffeiliau sy'n ei adael yn ddwy ofyniad. Rhowch y rheol lle mae'r ffeil yn weladwy: post, cymhwysiad neu asiant pen draw.
Mae tîm bach yn gofyn am fynediad o bell i'w systemau gwaith, ac yn yr un anadl yn gofyn bod atodiadau penodol yn stopio gadael y cwmni. Mae'r ddau gais yn swnio fel un newid VPN. Dau ofyniad â dau bwynt gorfodi gwahanol ydyn nhw, ac nid yw rheol sy'n bodloni'r cyntaf yn gwneud dim i'r ail. Dechreuwch drwy enwi'r weithred a'r data, yna dewiswch y gydran sy'n gallu eu gweld mewn gwirionedd.
Un cais, dau ofyniad
Mae'r gofyniad cyntaf yn ymwneud â chyrhaeddiad: pa ddefnyddwyr a dyfeisiau all agor cysylltiad â pha wasanaeth. Mae'r ail yn ymwneud ag ymddygiad ar ôl bodoli'r cysylltiad hwnnw: pa ddogfennau all gael eu hatodi, eu gludo neu eu huwchlwytho. Mae twnnel yn gweithredu ar y cyntaf ac yn ddall i'r ail yn ôl ei gynllun.
Mae rheolaeth ar lefel IP yn anfon pecynnau ymlaen. Nid yw'n dosrannu uwchlwythiad aml-ran, yn archwilio PDF nac yn penderfynu a oes rhifau cyfrif mewn taenlen. Nid camgymeriad cyfluniad yw disgwyl iddi wneud hynny; camgymeriad categori yw e.
Dywedwch y gofyniad yn uchel yn y ffurf honno cyn chwilio am gynnyrch. Mae „Gall defnyddwyr gyrraedd y porth ffeiliau” a „ni all defnyddwyr uwchlwytho rhestrau cwsmeriaid i'r porth ffeiliau” yn frawddegau gwahanol, a dim ond yr ail sy'n disgrifio polisi cynnwys.
Dewiswch y gydran sy'n gallu gweld y ffeil
Rhaid i'r gorfodi ddigwydd lle mae'r ffeil yn ddarllenadwy. Ar gyfer e-bost, fel arfer y platfform neu'r porth post yw hwnnw, sy'n trin atodiadau'n barod ac yn gallu eu gwerthuso cyn eu danfon. Ar gyfer uwchlwythiadau porwr i wasanaeth a gymeradwywyd, y cymhwysiad ei hun all fod yr unig barti sy'n gweld y cynnwys. Ar gyfer gliniadur a reolir sy'n copïo ffeiliau i gyfryngau symudadwy, mae asiant pen draw yn gweld y weithred.
| Where the file moves | Component that can see it |
|---|---|
| Email attachment | Mail gateway or mail platform policy |
| Upload to a web application | The application, or an inspection proxy that terminates TLS |
| Copy to USB or local folder | Endpoint agent on the device |
| Anything inside the tunnel | Nothing, unless one of the above is present |
Mae rhai pecynnau mynediad o bell masnachol yn bwnio asiant pen draw, rheolaeth we a modiwl atal colled data ynghyd. Gall y cydrannau hynny orfodi polisi cynnwys, ond mae'r gallu'n perthyn i'r modiwl yn hytrach nag i dwnelu. Darllenwch beth mae'r pecyn yn ei gynnwys mewn gwirionedd cyn addo'r canlyniad.
Mae trosolwg atal colled data Purview Microsoft yn fodel defnyddiol i gymharu ag ef: mae'n disgrifio polisïau yn nhermau mathau o wybodaeth sensitif, lleoliadau a gweithgareddau. Mae'r geirfa honno'n ymwneud â chynnwys a gweithredoedd, nid â rhagddodiadau IP.
Mae TLS yn goroesi'r twnnel, felly cynlluniwch ar ei gyfer
Mae amgryptio'r cymhwysiad yn cael ei drafod rhwng y cleient a'r gwasanaeth, ac mae twnnel VPN yn cario'r beitiau hynny heb eu hagor. Felly nid yw porth ar y llwybr yn ennill y gallu i ddosbarthu atodiad yn awtomatig, faint bynnag o'r llwybr sy'n eiddo iddo.
I archwilio cynnwys wrth fynd, mae angen cydran sy'n terfynu TLS â thystysgrif ddibynadwy, sy'n benderfyniad pensaernïol sylweddol â'i ganlyniadau preifatrwydd a gweithredol ei hun. Nid blwch gwirio ar y proffil VPN yw hwn. Rhaid i gleientiaid ymddiried yn y dystysgrif archwilio, bydd cymwysiadau sy'n pinio tystysgrifau yn torri, ac mae'r gweithredwr yn ennill y gallu i ddarllen traffig na allai o'r blaen. Dyna'r rhesymau mae'r penderfyniad hwn yn perthyn i berchennog diogelwch yn hytrach nag i bwy bynnag sy'n rhedeg y twnnel.
Dyna pam mae'r ateb gonest i „a all y VPN rwystro'r uwchlwythiad hwn” fel arfer yn na, wedi'i ddilyn gan ddewis arall pendant. Gall y dewis arall fod yn gyfyngiadau ar lefel cymhwysiad, yn rheol post neu'n bolisi pen draw, ac mae gan bob un ohonynt berchennog a all ei newid.
Ysgrifennwch y prawf derbyn cyn y rheol
Mae angen dau enghraifft ar reol cynnwys, nid un: gweithred a ganiateir sy'n rhaid parhau i weithio, a gweithred a waherddir sy'n rhaid ei hatal. Profwch y ddau o'r cymwysiadau a'r dyfeisiau yn y cwmpas, oherwydd nid yw polisi sy'n gweithio mewn un porwr yn bolisi y gofynnodd unrhyw un amdano.
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/uploadDylai'r cais cyntaf gael ei wrthod gan ba bynnag gydran sy'n berchen ar y rheol, a dylai'r ail lwyddo. Os bydd y ddau'n llwyddo, nid yw'r rheolaeth ar y llwybr. Os bydd y ddau'n methu, rydych wedi torri'r gwasanaeth yn hytrach na'i amddiffyn, sef canlyniad mwy cyffredin rheol a ysgrifennwyd heb enghraifft a ganiateir.
Penderfynwch ymlaen llaw beth mae'r defnyddiwr yn ei weld, pwy all roi eithriad a ble mae gweinyddwr yn cadarnhau'r penderfyniad wedyn. Mae uwchlwythiad a rwystrwyd heb neges yn creu tocyn cymorth, ac mae rheol na all neb ei harchwilio yn creu dadl. Gellir osgoi'r ddau ag un frawddeg o ddogfennaeth a ysgrifennwyd cyn i'r polisi fynd yn fyw.
Yn olaf, cadwch y ddau ofyniad mewn tocynnau ar wahân â pherchenogion ar wahân. Mae eu bwnsio o dan „VPN” yn gwarantu y gofynnir i'r tîm rhwydwaith ddatrys problem cynnwys, ac y bydd y broblem cynnwys yn cael ei datgan yn ddatrys pan ddaw'r twnnel i fyny.